# Equation Group

L'Equation Group (groupe Équation) est le nom attribué à un groupe informatique de cyber-espionnage de haut niveau lié à la National Security Agency (NSA). Cela provient notamment de la proximité avec les vers informatiques Flame et Stuxnet, voire le logiciel malveillant Regin.
En raison de la prédilection du groupe pour des méthodes de chiffrement sophistiquées dans leurs opérations, le nom d'Equation Group a été choisi par Kaspersky Lab qui a documenté près de 500 infections de logiciels malveillants par les outils du groupe dans au moins 42 pays. Il s'agirait de « la plus vaste opération de piratage de tous les temps », remontant les premières traces au début des années 2000 et même possiblement à 1996.
En août 2016, le groupe de hackers The Shadow Brokers dévoile une série d'outils d'espionnage et de cyberarmes appartenant à l’Equation Group.

## Vecteurs d'infection

Kaspersky Lab a identifié qu'Equation Group exploitait au moins sept failles de sécurité liées à Microsoft Windows, Internet Explorer et Java, dont quatre étaient des vulnérabilités dites « zero-day » (qui ne sont pas corrigées ou connues de l’éditeur au moment de leur utilisation)$^,$. L’éditeur russe décrit également l’exploitation d'autres failles inconnues début 2015 - probablement également de type zero-day - dans Mozilla Firefox 17 et le navigateur Tor Browser Bundle.
Fanny, le logiciel malveillant développé par l'Equation Group se loge dans le firmware des disques durs et donc résiste à un reformatage du disque ou l'installation d'un nouveau système d'exploitation.
Pour infecter leurs victimes, l'Equation Group utilise un arsenal d'« implants » (logiciel malveillant) :
* EquationLaser (2001-2004) est un implant de première génération;
* EquationDrug (2003-2013) est une plate-forme d'attaque très complexe qui prend en charge un système modulaire de plugins;
* DoubleFantasy (2004-2011) est un cheval de Troie conçu pour confirmer que la cible atteinte est la bonne. Si tel est le cas, le trojan est alors remplacé par une plate-forme plus complète comme EquationDrug ou GrayFish;
* TripleFantasy (2012-2014) est une porte dérobée qui semble être une version plus évoluée de DoubleFantasy;
* Fanny (2008-2010) est un ver informatique utilisé pour dérober des informations. Il utilise deux vulnérabilités dites « zero-day » qui ont été découvertes ultérieurement avec Stuxnet;
* GrayFish (2008-2014) est la plate-forme d'attaque la plus sophistiquée d'Equation Group, qui réside entièrement dans la base de registre de windows.
Au-delà des vecteurs classiques, le rapport de Kaspersky relate également un cas spécifique d’infection d’un chercheur via un cédérom reçu à la suite d'une conférence scientifique s’étant déroulée à Houston en 2009$^,$.

## Profils des cibles
### Pays

En février 2015, Kasperky Lab indique avoir identifié des victimes dans 42 pays, en Asie, Afrique, Europe (Allemagne, Belgique, France, Grande-Bretagne et Suisse) et Amérique du Sud. Les principaux pays visés seraient l'Iran, la fédération de Russie, le Pakistan, l’Afghanistan, l'Inde, la Chine, la Syrie et le Mali.

### Secteurs d'activités

En se basant sur la liste des 500 victimes recensées, Kaspersky Lab indique que les organisations visées appartiennent généralement aux catégories suivantes : « organisations gouvernementales et institutions diplomatiques, entreprises publiques ou privées du secteurs des télécommunications, de l’aérospatiale, de l'énergie, de la recherche nucléaire, du pétrole et gaz, des organisations du secteur militaire, des entreprises spécialisées en nanotechnologie, des militants et activités islamiques, des entreprises du secteur des médias, du transport, des institutions financières ou bien encore des sociétés réalisant de la recherche et développement en cryptographie ».

## Attribution

Kaspersky Lab ne cite jamais la National Security Agency (NSA) dans son rapport publié en février, mais indique qu'Equation Group aurait travaillé de manière rapprochée avec les équipes à l'origine de Flame et de Stuxnet. Selon l'expert en sécurité Claudio Guarnieri et plusieurs anciens agents du renseignement américain anonymes, Equation Group serait lié à la NSA$^,$.